EN 18031系列标准分为三部分，分别为EN 18031-1、EN 18031-2和EN 18031-3，分别对应RED指令第3(3)条款的(d)、(e)、(f)要求。EN 18031系列标准的部分章节在一些情况下不被认为是协调的，没有协调的情况下产品必须通过指定公告机构（NB）完成认证，方可投入市场。
RED指令第3.3条新增要求：
• 3.3(d)：针对能自行连接网络的设备（如手机、智慧家电），要求防止设备危害网络运作（如阻断服务攻击），并禁止滥用频宽资源。
• 3.3(e)：针对处理个人/位置数据的设备（如穿戴装置、儿童玩具），强制实施端到端加密、存取控制，并对接 GDPR 第 4 条与《电子通讯隐私指令》。
• 3.3(f)：针对支援电子支付的设备（如行动支付终端、加密货币硬体钱包），强化交易验证机制（如多因素认证），防范诈骗与虚拟货币盗用。
• 豁免范围：(EU) 2017/745（医疗器械）、(EU) 2017/746（体外诊断医疗器械）、 (EU) 2018/1139（民用航空安全）、(EU) 2019/2144（车辆类型认可）和指令 (EU) 2019/520（电子道路收费系统）涵盖的无线电设备免于遵守第 3(3)(e) 和 (f) 条。
■ 密码强度要求（所有标准均适用）
条款：EN 18031-1/2/3的6.2.5.1和6.2.5.2节。
要求：必须强制用户设置并使用密码。若允许用户不设密码，标准将丧失协调性，需进行第三方认证。
■ 家长/监护人访问控制（仅EN 18031-2适用）
条款：第6.1.3、6.1.4、6.1.5和6.1.6节（涉及玩具、儿童监护设备等）。
要求：必须实现家长或监护人的访问控制机制。若采用“自主访问控制”等不兼容模式，需重新认证。
■ 安全更新评估标准（仅EN 18031-3适用）
条款：第6.3.2.4节（涉及处理虚拟货币的设备）。
要求：仅依赖单一方法（如数字签名或访问控制）的安全更新机制不足以满足金融安全需求，必须综合多重机制。
1、EN 18031-1：网络安全防护关键要求：
抗攻击能力：需抵御 DDoS 攻击、未授权访问，支持通信加密（如 TLS 1.3 及以上）。
安全更新机制：①提供至少 2 年的固件 / 软件更新支持（需明确时间表）。
②更新包需通过数字签名验证，防止篡改（如 RSA-2048 或 ECDSA-P384）。
默认配置：禁止通用默认密码（如 “admin/admin”），强制用户首次使用时修改密码。
资源控制：限制网络资源滥用（如连接数、带宽），避免服务中断。
案例：WS44-8 擦窗机器人若支持 APP 联网，需验证 Wi-Fi 模块是否禁用弱加密（如 WPA2 强制开启），并记录远程控制的操作日志。
2、EN 18031-2：数据隐私保护关键要求：
数据加密：敏感数据（如用户位置、支付信息）需在存储和传输中加密（AES-256 或等效算法）。
访问控制：
①实施最小权限原则（如区分管理员 / 普通用户角色）。
②儿童设备需强制家长控制（如禁用陌生人社交功能）。
日志与通知：记录数据访问行为（如 API 调用），并在数据泄露时 72 小时内通知用户。
案例：智能手表需加密存储心率数据，且第三方 APP 访问需用户二次确认。
3. EN 18031-3：金融安全防护关键要求：
防篡改设计：硬件级安全元件（SE）或可信执行环境（TEE）保护密钥（如支付终端的 EMV 芯片）。
交易审计：记录每笔金融操作（如时间、金额、设备指纹），支持至少 5 年追溯。
完整性验证：启动时验证固件哈希值，防止恶意篡改（如使用 SBOM 清单）。
案例：POS 机需通过 PCI PTS 认证，并集成动态令牌生成功能。
